Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'mbekvjsu' = '<LS_APPDATA>\haiiqh\hrrfsysguard.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mbekvjsu' = '<LS_APPDATA>\haiiqh\hrrfsysguard.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\haiiqh\hrrfsysguard.exe'
- 'C:\-1998166001'
- 'C:\qfhtgw.exe'
- 'C:\yvpwmgeq.exe'
- 'C:\khkil.exe'
- 'C:\wwcxqh.exe'
- 'C:\jdmhvwpg.exe'
- 'C:\uaogj.exe'
- 'C:\umgwljsb.exe'
- '%TEMP%\9d5d3c0f.exe'
- 'C:\ehgpedp.exe'
- 'C:\afburr.exe'
- '%TEMP%\79d4975c.exe'
- 'C:\vwylecru.exe'
- 'C:\eujbmv.exe'
- 'C:\qfhtgw.exe' (загружен из сети Интернет)
- 'C:\umgwljsb.exe' (загружен из сети Интернет)
- 'C:\wwcxqh.exe' (загружен из сети Интернет)
- 'C:\jdmhvwpg.exe' (загружен из сети Интернет)
- 'C:\uaogj.exe' (загружен из сети Интернет)
- 'C:\yvpwmgeq.exe' (загружен из сети Интернет)
- 'C:\vwylecru.exe' (загружен из сети Интернет)
- 'C:\eujbmv.exe' (загружен из сети Интернет)
- 'C:\afburr.exe' (загружен из сети Интернет)
- 'C:\ehgpedp.exe' (загружен из сети Интернет)
- 'C:\khkil.exe' (загружен из сети Интернет)
- 'C:\-1998166001' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\RelevantKnowledge\rlls.dll"
- '<SYSTEM32>\cmd.exe' /c del %TEMP%\79d4975c.exe > nul
- '<SYSTEM32>\cmd.exe' /c %TEMP%\deleter.bat
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '.exe'
- [<HKCU>\Software\Microsoft\Internet Explorer\Download] 'CheckExeSignatures' = 'no'
- [<HKCU>\Software\Microsoft\Internet Explorer\Download] 'RunInvalidSignatures' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- C:\khkil.exe
- C:\uaogj.exe
- C:\yvpwmgeq.exe
- C:\-1998166001
- C:\wwcxqh.exe
- <LS_APPDATA>\haiiqh\hrrfsysguard.exe
- C:\umgwljsb.exe
- C:\jdmhvwpg.exe
- %TEMP%\deleter.bat
- C:\ehgpedp.exe
- %TEMP%\9d5d3c0f.exe
- %TEMP%\79d4975c.exe
- C:\eujbmv.exe
- C:\qfhtgw.exe
- C:\afburr.exe
- C:\vwylecru.exe
Удаляет следующие файлы:
- %TEMP%\79d4975c.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ae###idform.com':80
TCP:
Запросы HTTP GET:
- http://ae###idform.com/tbuhrblyis/orkkyy.php?ad########
- http://ae###idform.com/tbuhrblyis/uwthqe.php?ad########
- http://ae###idform.com/tbuhrblyis/zfpmmwk.php?ad########
- http://ae###idform.com/tbuhrblyis/iyvrffttq.php?ad#################################################
- http://ae###idform.com/tbuhrblyis/cfoymz.php?ad########
- http://ae###idform.com/tbuhrblyis/dfpzwwgt.php?ad########
- http://ae###idform.com/tbuhrblyis/atdaaxxhir.php?ad########
- http://ae###idform.com/tbuhrblyis/wcijgcqd.php?ad########
- http://ae###idform.com/tbuhrblyis/leoxlpb.php?ad########
- http://ae###idform.com/tbuhrblyis/vzbcco.php?ad########
- http://ae###idform.com/tbuhrblyis/jcvfcpm.php?ad########
- http://ae###idform.com/tbuhrblyis/nudaooly.php?ad########
- http://ae###idform.com/tbuhrblyis/hnkhhi.php?ad########
UDP:
- DNS ASK ae###idform.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
